Обработка данных и согласие
| Что нарушено | Часть ст. 13.11 КоАП | Штраф для организаций |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, либо несовместимая с целями сбора | ч. 1 | 150 000 — 300 000 ₽ |
| То же повторно | ч. 1.1 | 300 000 — 500 000 ₽ |
| Обработка без согласия, когда согласие обязательно, либо согласие оформлено с нарушением | ч. 2 | 300 000 — 700 000 ₽ |
| То же повторно | ч. 2.1 | 1 000 000 — 1 500 000 ₽ |
Часть 2 — самая дорогая из тех, что видно на сайте снаружи. Под неё попадают конклюдентные согласия («нажимая кнопку, вы соглашаетесь»), формы без чекбокса и заранее проставленные галочки. Подробности — в разборе про согласие.
Политика и информирование субъекта
| Что нарушено | Часть ст. 13.11 КоАП | Штраф |
|---|---|---|
| Политика не опубликована или недоступна | ч. 3 | организации 30 000 — 60 000 ₽, ИП 10 000 — 20 000 ₽, должностные лица 6 000 — 12 000 ₽ |
| Субъекту не предоставлена информация об обработке его данных | ч. 4 | 40 000 — 80 000 ₽ |
| Нарушен срок ответа на обращение субъекта | ч. 5 | 50 000 — 90 000 ₽ |
| То же повторно | — | 300 000 — 500 000 ₽ |
| Не выполнено требование об уточнении, блокировании или уничтожении данных | ч. 6 | 50 000 — 100 000 ₽ |
Уведомление, локализация и меры защиты
| Что нарушено | Часть ст. 13.11 КоАП | Штраф для организаций |
|---|---|---|
| Не направлено уведомление о намерении обрабатывать данные | ч. 10 | 100 000 — 300 000 ₽ (должностные лица 30 000 — 50 000 ₽) |
| Базы данных граждан России находятся за пределами России | ч. 8 | 1 000 000 — 6 000 000 ₽ |
| То же повторно | ч. 9 | 6 000 000 — 18 000 000 ₽ |
| Не обеспечена сохранность данных при хранении на материальных носителях | ч. 7 | 50 000 — 100 000 ₽ |
Пункт про локализацию стоит отдельного внимания: российский адрес сайта сам по себе ничего не доказывает. Заявки могут уходить в зарубежную CRM, почта — на иностранный почтовый сервис, резервные копии — в иностранное облако. Проверяется это по документам, а не по внешнему виду сайта.
Утечки и оборотные штрафы
Самое дорогое, что появилось в статье 13.11 за последние годы, — ответственность за утечку персональных данных. Размер зависит от числа субъектов, чьи данные оказались раскрыты, а при повторном нарушении применяется оборотный штраф — процент от годовой выручки.
| Что произошло | Часть ст. 13.11 КоАП |
|---|---|
| Неправомерная передача или распространение данных (утечка) — размер зависит от числа субъектов | ч. 12 — ч. 14 |
| Утечка специальных категорий или биометрических данных | ч. 16, ч. 17 |
| Повторная утечка — оборотный штраф от годовой выручки | ч. 15, ч. 18 |
| Оператор не уведомил о факте утечки в установленный срок | ч. 11 |
Нормаст. 13.11 Кодекса Российской Федерации об административных правонарушениях
Что из этого видно на сайте снаружи
Из всего перечисленного внешним осмотром устанавливается меньшая часть: наличие и содержание политики, оформление согласий и форм, раскрытие сбора технических сведений, совпадение контактов, реквизиты. Уведомление, локализация баз, договоры с обработчиками и внутренние документы оператора проверяются только по документам.
Короткие ответы
Штрафуют ли за это на практике?
Да. Проверки идут и по жалобам граждан, и по обращениям конкурентов, и планово. Наиболее частый повод — жалоба человека, которому не ответили на обращение или чьи данные использовали для рассылки.
Мы индивидуальный предприниматель. Суммы те же?
Как правило, ниже: КоАП разделяет ответственность граждан, должностных лиц, предпринимателей и организаций. Но по некоторым частям суммы для ИП сопоставимы с организациями.
Складываются ли штрафы за разные нарушения?
Разные составы образуют самостоятельные правонарушения. Поэтому по итогам одной проверки сайта может быть назначено несколько штрафов.